Im Archivprogramm 7-Zip haben IT-Forscher eine Sicherheitsl\u00fccke entdeckt, die Angreifern das Einschleusen von Schadcode erm\u00f6glicht. Dazu gen\u00fcgt das \u00d6ffnen einer sorgsam pr\u00e4parierten Archiv-Datei. Ein Update zum Schlie\u00dfen des Sicherheitslecks steht bereit.<\/p>\n
Weiterlesen nach der Anzeige<\/p>\n
Das GitHub-Security-Team hat einen entsprechenden Schwachstelleneintrag<\/a> ver\u00f6ffentlicht. In 7-Zip 26.00 k\u00f6nnen b\u00f6sartige Akteure demnach einen Heap-basierten Puffer\u00fcberlauf provozieren. Bei der Verarbeitung von komprimierten NTFS-Streams kann ein zu kleiner Puffer angelegt werden, was zum Absturz der App oder sogar zur Ausf\u00fchrung beliebigen Codes f\u00fchren kann (CVE-2026-48095, CVSS 8.8<\/strong>, Risiko \u201ehoch<\/strong>\u201c).<\/p>\n Das Verhalten der L\u00fccke unterscheidet sich je nach Wortbreite der Systemarchitektur. 32-Bit-Builds sind in jedem Fall davon betroffen, auf 64-Bit-Systemen h\u00e4ngt es davon ab, wie viel RAM tats\u00e4chlich im System verbaut ist. Auf Systemen mit 16 GByte und mehr findet die Speicherallokation korrekt statt, sodass dort Schadcode eingeschleust werden kann.<\/p>\n Auf Systemen mit weniger Speicher kann das fehlschlagen und f\u00fchrt dann zu einem Denial-of-Service-Zustand. Die Meldung enth\u00e4lt auch Proof-of-Concept-Code, sodass Angreifer in K\u00fcrze die Schwachstelle in ihr Standard-Repertoire aufnehmen k\u00f6nnten.<\/p>\n Das SOC-Prime-Team hat einen Blog-Beitrag<\/a> zur Schwachstelle ver\u00f6ffentlicht. Die L\u00fccke ist dadurch gef\u00e4hrlich, dass Angreifer keine speziellen Dateiendungen f\u00fcr die manipulierten Archive nutzen m\u00fcssen, um den NTFS-Handler in Aktion zu setzen. Die Endungen k\u00f6nnen auch beliebig sein, etwa .7z, .zip, .rar oder \u00e4hnliche. Wenn die daf\u00fcr zust\u00e4ndigen Handler die Daten in der Datei nicht verarbeiten k\u00f6nnen, wendet 7-Zip eine Art MIME-Magic an und f\u00fcttert den NTFS-Handler mit dem Input, weil der die Datei erkennt und verarbeitet.<\/p>\n Aktualisierte Software<\/p>\n Das Problem besteht in 7-Zip 26.00. Am 27. April 2026 erschien 7-Zip 26.01, das unter anderem diese Sicherheitsl\u00fccke schlie\u00dft. Da 7-Zip keinen automatischen Update-Mechanismus enth\u00e4lt, m\u00fcssen Nutzerinnen und Nutzer sowie Admins die Aktualisierung manuell vornehmen. An der Windows-Eingabeaufforderung sollte der Aufruf von winget upgrade –all die Aktualisierung finden und installieren.<\/p>\n Weiterlesen nach der Anzeige<\/p>\n Ansonsten steht die aktuelle 7-Zip-Fassung auch auf der Download-Seite des Projekts<\/a> zum Herunterladen bereit. Eine weitere Download-Seite bei Sourceforge<\/a> h\u00e4lt zudem Updates f\u00fcr diverse Plattformen abseits von Windows bereit, dort finden sich auch die weiteren \u00c4nderungen gegen\u00fcber der Version 26.00.<\/p>\n Das Update sollte rasch erfolgen. Im vergangenen November haben Angreifer eine Schwachstelle in 7-Zip missbraucht, um damit ihren Opfern Schadcode<\/a> unterzuschieben.<\/p>\n